[raol]

Hallo,
ich versuche mit mit einem PHP-SOAP-Client einen HTTPS-Webservice (https://xxxxxxx?wsdl) aufzurufen. Ich schaffs aber nicht.


Ich habe verschiedene Varianten versucht:

1. Ganz gewöhnlicher Aufruf:
$client = new SoapClient("https://xxxxxxx?wsdl");

-> SoapClient schimpft: " SSL operation failed with code 1. OpenSSL Error messages:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol, Failed to enable crypto, Could not connect to host"


2. Mit Mitgabe des Server-Zertifikates:
$client = new SoapClient("https://xxxxxxx?wsdl", array("local_cert"=>"cert_key.pem"));

-> SoapClient schimpft: "Unable to set local cert chain file `cert_key.pem`; Check that your cafile/capath settings include details of your certificate and its issuer"


Wenn ich probehalber die URL des Webservice (https://xxxxxxx?wsdl) direkt in den Browser eingebe, werde ich gefragt, ob ich das Server-Zertifikat akzeptiere. Wenn ich das bestätige, erhalte ich das Ergebnis.

Wie bringe ich meinen SOAP-Client dazu, dieses Server-Zertifikat (automatisch) zu akzeptieren?
Ist mit "local_cert" überhaupt das Server-Zertifikat gemeint oder ein anderes? Und in welchem Format?

Danke,
Oliver

[robo47]

Also, das Zertifikat des Servers ist dann, wenn man es im Browser erst akzeptieren muss ein entweder selbst-signiertes Zertifikat oder auch von einer nicht vom Browser unterstützten CA signiertes Zertifikat, damit haben sehr viele Programme und Libs ihre Probleme und blocken das aus Sicherheitsgründen erstmal.
In dem Fall musst du dann ein wie du es schon selbst gemacht hast das Zertifikat mitgeben. Vielleicht steht in deinem das falsche drin ?

Hier gibts nen Kommentar in dem Beschrieben wurde was er reingepackt hat:

http://de.php.net/manual/en/ref.soap.php#71306

Ich denke es wird nicht nur der Key gebraucht sondern anscheinend Cert + Key

Da deins ja anscheinend kein Passwort benutzt, den Passwort-Teil halt einfach ignorieren.

ansonsten falls deine Datei die du nutzt okay ist, kannst du damit http://public.robo47.net/ssl-zertifikat-info.php schauen ob das Zertifikat von der https-Url vielleicht auch einfach einige Daten nicht enthält.

[raol]

Vielen Dank für die Antwort und die Links.
Kann schon sein, dass in dem Zertifikat, das ich mitgebe nicht das richtige steht. Wenn ichs mit dem Link http://public.robo47.net/ssl-zertifikat-info.php verifiziere, siehts allerdings ziemlich vollständig aus.


>Hier gibts nen Kommentar in dem Beschrieben wurde was er reingepackt hat:
>http://de.php.net/manual/en/ref.soap.php#71306
>Ich denke es wird nicht nur der Key gebraucht sondern anscheinend Cert + Key

Ich verstehe nicht so ganz, was da abläuft. Welcher Private Key wird da zusätzlich gebraucht? Mein eigener? Den Private Key vom Server habe ich ja nicht (und wäre meiner Meinung nach auch nicht so sinnvoll).
Oder muss ich dem SoapClient mein eigenes Zertifikat und mein Private Key mitgeben?

Gibt es eine Möglichkeit, PHP (oder dem Webserver) mitzuteilen, dass es bestimmten Zertifikaten trauen kann? Oder dass es allen Zertifikaten trauen kann? Ich habe in dieser Richtung etwas gefunden (verify_peer, allow_self_signed, http://ch2.php.net/manual/en/transports.php), weiss aber nicht, ob ich das Auswirkungen auf den SOAP-Client hat.

[robo47]

Ich verstehe nicht so ganz, was da abläuft. Welcher Private Key wird da zusätzlich gebraucht? Mein eigener? Den Private Key vom Server habe ich ja nicht (und wäre meiner Meinung nach auch nicht so sinnvoll).

Dass das mit dem private-key etwas komisch ist, habe ich mir auch schon gedacht, vor allem weil man da eben nicht drankommt im normalfall.

Ich habe in dieser Richtung etwas gefunden (verify_peer, allow_self_signed, http://ch2.php.net/manual/en/transports.php), weiss aber nicht, ob ich das Auswirkungen auf den SOAP-Client hat.

versuch es, wenn der soap-client auf die normalen transports von php zugreift sollte das helfen, dann brauchst du vielleicht den ganzen cert-kram nicht, da die namen der einstellungen und der parameter von SoapClient die gleichen sind, ist das sogar recht naheliegend.

[chrigu]

Hi,
Läuft der Webservice auf einem IIS?
Ich hatte mal ebenfalls Probleme, eben mit einem Webservice der auf einem IIS lief.
Der Grund war, dass der IIS irgendwas im SSL-Handshake falsch machte. Es gab dazu auch einen offenen Bug auf php.net
Das Blöde war, dass die PHP-Jungs das Verhalten von PHP nicht korrigieren wollten, da der Fehler ja bei MS lag, oder immer noch liegt.
Die Lösung, auch wenn es doof klingt: Während dem Webservice-Call den Error-Level von PHP gesenkt.

Gruss,
Chrigu